Błąd w telnetd z GNU InetUtils (CVE-2026-24061) pozwala zalogować się jako root bez hasła. CISA potwierdza masowe ataki. Wyłącz telnet, zablokuj port 23 i zaktualizuj pakiety inetutils.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery z Linuksem, urządzenia sieciowe, sterowniki przemysłowe lub rejestratory, w których może działać usługa telnet. Werdykt: jeśli gdziekolwiek w firmie nasłuchuje serwer telnetd z pakietu GNU InetUtils (wersje 1.9.3 do 2.7), wyłącz go dziś lub zaktualizuj pakiet, bo ta luka daje każdemu z sieci konto administratora bez hasła i jest masowo atakowana.
Amerykańska agencja CISA 26 stycznia 2026 roku dopisała podatność CVE-2026-24061 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy telnetd, serwera telnet z pakietu GNU InetUtils, obecnego w wielu dystrybucjach Linuksa i urządzeniach opartych na Linuksie. Napastnik podaje jako nazwę użytkownika ciąg -f root i zostaje zalogowany jako administrator systemu (root) bez hasła.
Błąd tkwił w kodzie od 2015 roku. Pierwsze próby ataku na pułapki badaczy GreyNoise pojawiły się w ciągu kilkunastu minut od publikacji wpisu w NVD. CISA ocenia atak jako możliwy do zautomatyzowania. Termin naprawy minął 16 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-24061 |
Data dodania do CISA KEV | 2026-01-26 |
Termin naprawy wg CISA | 2026-02-16 (21 dni od wpisu) |
Produkt | GNU InetUtils, serwer telnetd; według CISA komponent może występować w wielu produktach innych producentów |
Wersje zagrożone | GNU InetUtils od 1.9.3 do 2.7 włącznie. Zagrożenie dotyczy systemów, na których telnetd jest uruchomiony i dostępny z sieci; sam zainstalowany pakiet bez działającej usługi nie jest wystawiony na atak (Debian) |
Wersje bezpieczne | Projekt GNU wydał poprawkę w repozytorium kodu, bez numeru wydania w komunikacie. Pakiety dystrybucji: Debian 12 bookworm 2:2.4-2+deb12u2, Debian 13 trixie 2:2.6-3+deb13u1, Debian 11 bullseye 2:2.0-1+deb11u3; Ubuntu 25.10, 24.04 LTS i 22.04 LTS: aktualizacje z 2 lutego 2026. SUSE: produkty nieobjęte. Urządzenia innych producentów: według ich komunikatów |
Typ podatności | Wstrzyknięcie argumentu prowadzące do obejścia uwierzytelnienia; CWE-88 |
Ocena CVSS | MITRE: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. Projekt GNU: waga wysoka |
Powiązany błąd CVE-2026-28372 (opublikowany 27 lutego 2026 roku) dotyczy tego samego telnetd do wersji 2.7 i pozwala lokalnemu użytkownikowi podnieść uprawnienia przez mechanizm dodany w programie login z util-linux 2.40. NVD ocenia go na 7.8 (CVSS 3.1, WYSOKA). Aktualizacja ze stycznia nie zwalnia z instalacji kolejnych poprawek pakietu.
Wyobraź sobie recepcję biurowca, w której gość wpisuje do formularza swoje imię i nazwisko, a recepcjonistka przepisuje je na karteczkę dla ochrony. Ktoś wpisuje w rubrykę: „przepustka już sprawdzona, wpuścić na piętro zarządu”. Recepcjonistka przepisuje całość bez czytania, a ochrona traktuje to jako polecenie i otwiera drzwi.
Tak działał telnetd. Klient telnet przesyła serwerowi proponowaną nazwę użytkownika, a serwer przekazuje ją programowi logowania. Program logowania rozumie jednak także polecenia zaczynające się od myślnika, w tym -f, które oznacza „ta osoba jest już zweryfikowana, nie pytaj o hasło”. Podatny telnetd nie sprawdzał, czy dostał nazwę, czy polecenie, więc wpis -f root otwierał sesję administratora.
💡 Telnet to stary sposób łączenia się z odległym komputerem i wpisywania w nim poleceń, bez szyfrowania; zastąpiło go SSH. telnetd to program po stronie serwera, który przyjmuje takie połączenia. root to konto administratora w systemach Linux. Wstrzyknięcie argumentu to przemycenie polecenia w miejscu, gdzie program oczekuje zwykłych danych. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Połączenie telnet z serwerem | Serwer pyta o login i hasło | Wpis |
Urządzenie przemysłowe z awaryjnym telnetem | Serwisant loguje się swoim hasłem | Każdy z sieci może wejść jako administrator |
Pakiet InetUtils zainstalowany, usługa wyłączona | Brak zagrożenia | Brak zagrożenia (liczy się nasłuchujący port) |
Styczniowa poprawka zainstalowana | Sprawa zamknięta | Trzeba śledzić kolejne poprawki, np. CVE-2026-28372 |
Komunikat „nasza dystrybucja jest bezpieczna” | Uspokaja | Nie mówi nic o urządzeniach innych producentów w sieci |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na tym, co badacze GreyNoise zaobserwowali na swoich pułapkach w pierwszych 18 godzinach. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu w firmie. Atak nie wymaga konta ani udziału pracownika, więc ofiar się nie wybiera: skaner sprawdza kolejne adresy z otwartym portem telnet.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie i sieciach otwartego portu 23 (telnet) | Lista urządzeń z telnetem |
2. Wejście | T+sekundy | Połączenie z nazwą użytkownika | Sesja administratora bez hasła |
3. Rozpoznanie | T+1 min | Sprawdzenie systemu, uprawnień i sieci (GreyNoise: rozpoznanie systemu) | Wiedza, gdzie jest urządzenie i co widzi |
4. Utrwalenie | T+kilka minut | Dopisanie własnego klucza SSH (zaobserwowane przez GreyNoise) | Stały dostęp, nawet po wyłączeniu telnetu |
5. Złośliwe oprogramowanie | T+minuty do godzin | Próby pobrania i uruchomienia złośliwego oprogramowania (zaobserwowane przez GreyNoise) | Urządzenie w botnecie lub przyczółek do dalszego ataku |
6. Ruch w głąb sieci | T+dni | Przejście z urządzenia na serwery plików i kopie zapasowe | Kradzież danych, przygotowanie ransomware |
Mogę Ci jakoś pomóc?
Luka łączy najgorsze cechy: działa bez hasła, bez udziału człowieka, daje najwyższe uprawnienia i jest atakowana automatycznie. Najczęściej dotyczy urządzeń, o których nikt nie pamięta: sprzętu przemysłowego, rejestratorów, starych serwerów. Takie urządzenia zwykle nie mają logów, antywirusa ani właściciela w dziale IT.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie produkcji lub monitoringu do czasu potwierdzenia, że urządzenia są czyste; możliwa wizyta serwisu producenta | Godziny do dni | 30 tys. do 400 tys. PLN (przestój, serwis, wymiana urządzeń) |
Bezpieczeństwo danych | Przyczółek w sieci, kradzież danych z serwerów dostępnych z przejętego urządzenia | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, często utrudniona brakiem logów) |
Finansowy | Okup, odtwarzanie systemów, koszty specjalistów od systemów przemysłowych | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Opóźnione dostawy, pytania klientów i ubezpieczyciela; firmowy adres w botnecie na czarnych listach | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z uruchomionym telnetd
z GNU InetUtils 1.9.3 do 2.7
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne dla każdego urządzenia z działającym, osiągalnym telnetd (administrator bez hasła, atak zautomatyzowany, EPSS około 98%); firma, w której usługa nie działa lub port jest niedostępny, jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Przeskanować własną sieć i adresy publiczne firmy pod kątem otwartego portu 23 (telnet) | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zablokować port 23 z internetu na zaporze brzegowej | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Wyłączyć usługę telnetd wszędzie, gdzie nie jest niezbędna (zalecenie projektu GNU i Debiana) | Dziś | Administratorzy serwerów |
4 | 🟠 PILNIE | Zaktualizować pakiety inetutils na serwerach Debian i Ubuntu do wersji z sekcji 1, łącznie z późniejszymi poprawkami | Do 2 dni | Administratorzy serwerów |
5 | 🟠 PILNIE | Na urządzeniach, które telnetu nie pozwalają wyłączyć: ograniczyć dostęp do portu 23 do zaufanych komputerów i zapytać producenta o aktualizację | Do 3 dni | Dział IT / serwis producenta |
6 | 🟠 PILNIE | Na systemach, gdzie telnetd działał: sprawdzić pliki | Do 3 dni | Dział IT / zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wpisać do umów serwisowych zakaz zostawiania włączonego telnetu po uruchomieniu urządzeń | Do 30 dni | CTO / dział zakupów |
Debian i Ubuntu wydały poprawione pakiety, a projekt GNU opublikował poprawkę kodu. Dla urządzeń innych producentów aktualizacja może nie istnieć. Projekt GNU wskazuje obejście: wyłączyć telnetd albo użyć programu logowania, który nie przyjmuje parametru -f. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie serwera telnetd (zalecenie projektu GNU) | Wysoka: usuwa podatną usługę | Łatwa na serwerach, trudniejsza na urządzeniach zamkniętych |
Blokada portu 23 z internetu i ograniczenie do zaufanych adresów w sieci wewnętrznej (zalecenie projektu GNU i Debiana) | Wysoka wobec ataków z zewnątrz, średnia wewnątrz sieci | Łatwa |
Program logowania bez obsługi parametru | Wysoka, jeśli poprawnie wdrożona | Trudna, wymaga wiedzy administratora |
Zastąpienie telnetu przez SSH | Wysoka i docelowa | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Port 23 | Nieznana liczba urządzeń nasłuchuje | Spis urządzeń, port zamknięty lub ograniczony |
Dostęp administratora | Możliwy bez hasła z sieci | Tylko przez SSH z hasłem lub kluczem |
Urządzenia przemysłowe | Awaryjny telnet zostawiony przez serwisanta | Wyłączony lub odcięty od reszty sieci |
Wiedza o włamaniu | Brak | Sprawdzone klucze SSH, procesy i zadania |
Zgodność z wymogami | Ponad 7 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak możliwy do zautomatyzowania, wpływ techniczny pełny |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. GreyNoise w pierwszych 18 godzinach odnotował 60 prób ataku z 18 różnych adresów IP |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg MITRE (CVSS 3.1) |
PoC dostępny publicznie? | TAK: komunikat projektu GNU z 20 stycznia 2026 roku zawiera przykład wykorzystania |
Liczba atakowanych firm | Brak publicznych informacji. GreyNoise, powołując się na Censys, wskazywał około 3 tys. systemów z telnetem widocznych w internecie z sygnaturą pasującą do podatnej usługi |
Po włamaniu | Wg GreyNoise: rozpoznanie systemu, dopisywanie kluczy SSH, próby instalacji złośliwego oprogramowania |
Kto opisał błąd | Simon Josefsson, komunikat bezpieczeństwa GNU InetUtils; błąd wprowadzony w 2015 roku |
Prognoza EPSS | 0,98 (ok. 98% szansy próby wykorzystania), najwyższy promil znanych podatności (wg analizy źródłowej) |
Ten wpis ma niemal wszystkie sygnały zagrożenia ustawione na maksimum:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-24061
CVSS 3.1 (MITRE) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (prawdopodob.) ~98% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
Przykład ataku TAK ████████████████████ w komunikacie GNU
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2015-05-12 Wydanie InetUtils 1.9.3 z błędem (wprowadzonym w marcu 2015)
2026-01-20 Komunikat bezpieczeństwa GNU InetUtils z przykładem ataku
2026-01-21 Publikacja CVE-2026-24061 w NVD
2026-01-21 GreyNoise rejestruje pierwsze próby ataku
2026-01-22 Debian wydaje DSA-6106-1 (bookworm, trixie)
2026-01-25 Poprawka dla Debian 11 bullseye (wg analizy źródłowej)
2026-01-26 CISA dodaje lukę do katalogu KEV
2026-02-02 Canonical wydaje poprawki dla Ubuntu
2026-02-16 Termin naprawy wg CISA dla agencji federalnych
2026-02-27 Publikacja powiązanego CVE-2026-28372
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Poprawki w kodzie projektu: codeberg.org: inetutils commit ccba9f7 oraz codeberg.org: inetutils commit fd702c0 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-24061 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić skan sieci i adresów publicznych pod kątem otwartego portu telnet | CTO | DZISIAJ |
2 | Zatwierdzić blokadę portu 23 z internetu | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie telnetu na wszystkich serwerach, gdzie nie jest potrzebny | CTO | DZISIAJ |
4 | Uzyskać listę urządzeń przemysłowych, rejestratorów i sprzętu sieciowego z telnetem | CTO | DO JUTRA |
5 | Zapytać serwisy producentów tych urządzeń o aktualizacje i możliwość wyłączenia telnetu | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną wymianę urządzeń bez aktualizacji | CFO | DO JUTRA |
7 | Sprawdzić umowy serwisowe pod kątem zapisów o bezpieczeństwie dostępu serwisowego | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń w naszej sieci ma otwarty port 23? | [liczba] | 🔴 |
2 | Czy którekolwiek z nich jest dostępne z internetu? | TAK / NIE | 🔴 |
3 | Jaką wersję pakietu inetutils mają nasze serwery z telnetd? | [wersja] | 🔴 |
4 | Czy na urządzeniach z telnetem sprawdzono obce klucze SSH i nieznane procesy? | TAK / NIE | 🔴 |
5 | Które urządzenia nie pozwalają wyłączyć telnetu i czy producent wydał aktualizację? | [lista] | 🟠 |
6 | Kiedy ostatnio skanowano sieć pod kątem niepotrzebnych usług? | [data] | 🟠 |
7 | Czy po styczniowej poprawce zainstalowano kolejne aktualizacje pakietu inetutils? | TAK / NIE | 🟡 |
CVE-2026-24061 daje każdemu, kto dotrze do działającego telnetd z GNU InetUtils, konto administratora bez hasła, a ataki zaczęły się w ciągu doby od publikacji. Skan sieci pod kątem portu 23, wyłączenie telnetu i aktualizacja pakietów to zadania na dziś, a urządzenia innych producentów wymagają osobnej weryfikacji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.